Scadenza del certificato di Secure Boot: Cosa devi sapere

Microsoft ha distribuito l'aggiornamento del certificato Secure Boot 2023 a tutti i PC Windows 11 e Windows 10 idonei poche ore prima della scadenza iniziale del 24 giugno 2026. Secondo una dichiarazione di Microsoft, “Con questo aggiornamento, gli aggiornamenti di qualità di Windows includono dati di targeting di dispositivi ad alta affidabilità, aumentando la copertura dei dispositivi idonei a ricevere automaticamente i nuovi certificati Secure Boot. I dispositivi ricevono i nuovi certificati solo dopo aver dimostrato segnali di aggiornamento sufficientemente riusciti, mantenendo un rollout controllato e graduale.”

Se il tuo PC ha ricevuto l'aggiornamento Patch Tuesday di giugno 2026, è probabile che i certificati Secure Boot 2023 siano già stati installati sul tuo dispositivo. Di seguito trovi tutto ciò che devi sapere per controllare lo stato del tuo certificato e risolvere eventuali problemi.

Che cos'è l'aggiornamento del certificato Secure Boot?

Secure Boot è una funzionalità di sicurezza a livello di firmware che verifica la firma digitale di ogni componente di avvio per bloccare rootkit e bootkit dall'infiltrarsi nella catena di avvio. I certificati che supportano questo sistema sono stati emessi nel 2011, con le seguenti date di scadenza:

• Microsoft Corporation KEK CA 2011: 24 giugno 2026
• Microsoft UEFI CA 2011: 27 giugno 2026
• Microsoft Windows Production PCA 2011: 19 ottobre 2026

Per garantire il funzionamento continuo di Secure Boot oltre queste date, Microsoft ha iniziato a distribuire i certificati sostitutivi del 2023 tramite Windows Update dal 2024. L'aggiornamento di giugno 2026 ha ampliato significativamente il pool di dispositivi idonei, spostando la maggior parte dei PC supportati nella categoria “ad alta affidabilità”, dove gli aggiornamenti vengono applicati automaticamente in sicurezza.

Come verificare se il tuo PC ha i certificati Secure Boot 2023

Il modo più rapido per verificare lo stato del tuo certificato Secure Boot è tramite l'app Sicurezza di Windows, una funzionalità aggiunta nell'aggiornamento di aprile 2026 di Windows 11. Segui questi passaggi:

1. Apri l'app Sicurezza di Windows.
2. Clicca su Sicurezza del dispositivo nel menu a sinistra.
3. Scorri fino alla sezione Secure Boot per visualizzare lo stato.

Vedrai uno dei seguenti indicatori di stato:

• Segno di spunta verde: Indica che tutti gli aggiornamenti richiesti del certificato sono stati applicati e non è richiesta alcuna azione.
• Avviso giallo: Indica che l'aggiornamento è in sospeso. Potrebbero essere necessari dati di compatibilità o un aggiornamento del BIOS del produttore del tuo PC prima che i certificati possano essere installati.
• Allarme rosso: Indica un problema specifico che blocca l'aggiornamento, tipicamente a causa di incompatibilità del firmware. Controlla la pagina di supporto del produttore del tuo PC per un aggiornamento del BIOS.

Se manca la sezione Secure Boot, ciò probabilmente significa che Secure Boot è disabilitato o che il tuo PC è stato installato utilizzando un bypass del registro su hardware non supportato. Per i passaggi dettagliati su PC più vecchi e non supportati, consulta la nostra guida alla verifica di Secure Boot.

Cosa fare se il tuo PC non ha ricevuto l'aggiornamento di Secure Boot?

Non aver ricevuto l'aggiornamento del certificato Secure Boot 2023 non significa che il tuo PC smetterà di funzionare. Microsoft ha confermato che i dispositivi senza i certificati aggiornati continueranno ad avviarsi normalmente e riceveranno aggiornamenti regolari di Windows. Tuttavia, questi dispositivi non riceveranno più futuri aggiornamenti di sicurezza a livello di avvio, il che potrebbe esporli a vulnerabilità come il bootkit BlackLotus nel tempo.

Per l'hardware moderno, l'aggiornamento viene applicato automaticamente. Se il tuo PC mostra un avviso giallo, attendi il prossimo ciclo di aggiornamenti di Windows. Microsoft continua ad ampliare la copertura dei dispositivi con ogni aggiornamento mensile. Per l'hardware più vecchio, per il quale i produttori hanno cessato il supporto, potrebbe non essere possibile ottenere i certificati del 2023. In questi casi, controllare un aggiornamento del BIOS è il primo passo prima di considerare interventi manuali.

Il tuo PC potrebbe riavviarsi due volte dopo gli aggiornamenti

È normale che i PC si riavviino due o tre volte durante il processo di aggiornamento del certificato Secure Boot. Microsoft ha confermato che questo comportamento è previsto a causa del processo a più fasi che include:

1. Scrittura di nuovi certificati nel firmware.
2. Applicazione del gestore di avvio aggiornato.
3. Avvio di Windows con la catena di Secure Boot aggiornata.

Inoltre, potrebbe apparire una nuova cartella in C:\Windows\SecureBoot. Questa non è malware; viene utilizzata da Windows per archiviare i file del certificato crittografico prima di scriverli nel firmware. Non eliminare questa cartella.

Anche gli utenti di Windows 10 ricevono aggiornamenti di Secure Boot

Nonostante Windows 10 abbia raggiunto lo stato di fine del ciclo di vita, gli aggiornamenti di Secure Boot sono stati resi disponibili per gli utenti iscritti al programma Extended Security Updates (ESU). Dall'aggiornamento di maggio 2026 (KB5087544), gli utenti di Windows 10 hanno iniziato a ricevere report sullo stato di Secure Boot. Tuttavia, gli utenti non iscritti al programma ESU non riceveranno questi aggiornamenti tramite Windows Update.

Passare a ESU richiede la transizione da un account locale a un account Microsoft. Per gli utenti di Windows 11, l'aggiornamento di giugno 2026 rappresenta il più grande rollout di certificati Secure Boot mai effettuato.

Per gli amministratori IT: dettagli chiave sulla scadenza del 24 giugno

A partire dal 24 giugno 2026, Microsoft Corporation KEK CA 2011 non potrà più firmare nuovi payload di revoca di Secure Boot (aggiornamenti DBX) con la vecchia chiave. Tuttavia, i payload firmati esistenti e i metodi di rollout manuale continueranno a funzionare. La chiave DB rimane valida fino al 19 ottobre 2026, consentendo a Microsoft di firmare nuovi gestori di avvio fino a tale data.

Microsoft ha condotto sessioni AMA con ingegneri per affrontare le preoccupazioni degli amministratori IT, inclusi i bucket di fiducia dei dispositivi, il monitoraggio di Intune, gli scenari di avvio PXE e le avvertenze per le macchine virtuali. Per la gestione delle flotte aziendali, aka.ms/GetSecureBoot rimane la risorsa principale.

I dispositivi nel bucket in pausa richiedono un aggiornamento del BIOS da parte del produttore OEM prima di applicare l'aggiornamento Secure Boot. Forzare l'aggiornamento senza un aggiornamento del firmware non è consigliato e potrebbe portare a errori di avvio o attivare il recupero di BitLocker.

Windows Latest dipende dai lettori come te. Considera di renderci la tua fonte preferita su Google Discover e Ricerca Google per supportare il nostro giornalismo indipendente.